Choisir un CRM, c’est bien plus qu’une décision technique. Pour un dirigeant, c’est un choix structurant qui engage la responsabilité juridique de l’entreprise, notamment sur la façon dont les données personnelles sont collectées, stockées, traitées et protégées. Salesforce et Microsoft Dynamics 365 dominent le marché des solutions CRM pour les entreprises de taille intermédiaire et les grands comptes, mais leurs architectures respectives ne présentent pas les mêmes implications sur le plan du droit des données. Comprendre ces différences, c’est éviter des expositions réglementaires coûteuses.
Le règlement général sur la protection des données, entré en vigueur en mai 2018, a profondément reconfiguré les obligations des entreprises dès lors qu’elles traitent des données à caractère personnel. Or, un CRM est précisément l’outil qui centralise des volumes importants de telles données : coordonnées, historiques d’achat, comportements, préférences, interactions commerciales. La plateforme choisie détermine en partie la capacité de l’entreprise à honorer ses obligations légales, que ce soit en matière de consentement, de traçabilité ou de droits des personnes concernées.
Cet article propose une lecture juridique et pratique de ces deux solutions, sans parti pris commercial, pour aider les décideurs à intégrer la dimension réglementaire dans leur choix stratégique.
Localisation des données et transferts internationaux
Le principe de souveraineté des données en jeu
La question de la localisation physique des données est centrale dans toute analyse juridique d’un CRM en mode SaaS. Le RGPD impose des conditions strictes pour tout transfert de données hors de l’Espace économique européen, notamment vers des pays ne bénéficiant pas d’une décision d’adéquation de la Commission européenne. Les États-Unis ne disposent pas d’une telle décision inconditionnelle, ce qui rend critique la localisation effective des serveurs hébergeant les données traitées par ces plateformes.
Salesforce et la question des hébergements européens
Salesforce propose depuis plusieurs années des options d’hébergement en Europe, notamment via ses centres de données implantés en Allemagne et en France. Ces options permettent théoriquement de circonscrire le stockage des données au sein de l’EEE. Toutefois, la réalité contractuelle est plus complexe : les clauses de sous-traitance ultra-actives de Salesforce impliquent de nombreux sous-traitants ultérieurs dont certains sont établis hors d’Europe. Le responsable de traitement reste juridiquement tenu de s’assurer que chaque maillon de la chaîne respecte le RGPD, ce qui exige un travail d’audit contractuel rigoureux avant tout déploiement.
Microsoft Dynamics 365 et l’écosystème Azure
Microsoft Dynamics 365 s’appuie sur l’infrastructure cloud Azure, pour laquelle Microsoft a déployé des centres de données en Europe, dont plusieurs localisés en France. L’entreprise a publié des engagements formels, notamment à travers son EU Data Boundary, qui vise à garantir que les données des clients européens restent sur le territoire européen. Ces engagements sont contractualisés dans les Data Processing Addendums fournis par Microsoft. Cette architecture offre un niveau de prévisibilité juridique supérieur, bien que les obligations de surveillance des sous-traitants demeurent entières pour les responsables de traitement.
Conformité RGPD et responsabilités contractuelles
Le rôle de sous-traitant et ses implications concrètes
Dans le cadre du RGPD, l’éditeur d’un CRM agit en qualité de sous-traitant lorsqu’il traite des données pour le compte de l’entreprise cliente. Cette qualification impose la conclusion d’un contrat de traitement des données conforme à l’article 28 du règlement, qui doit notamment préciser la nature et la finalité du traitement, les catégories de données concernées, les mesures de sécurité mises en place et les conditions de restitution ou de suppression des données. L’absence ou l’insuffisance d’un tel accord expose l’entreprise cliente à une mise en cause directe par la CNIL ou toute autre autorité de contrôle compétente.
Ce que proposent Salesforce et Microsoft sur ce terrain
Les deux éditeurs fournissent des Data Processing Agreements standardisés, mais leur degré de personnalisation diffère. Microsoft propose une documentation contractuelle particulièrement étoffée, avec des annexes techniques détaillées, des listes de sous-traitants ultérieurs mises à jour régulièrement et des mécanismes de notification d’incident bien définis. Salesforce offre un cadre similaire, mais certains observateurs juridiques notent une moindre granularité dans la documentation des flux de données secondaires. Dans les deux cas, la vigilance du responsable de traitement reste indispensable : un DPA signé ne dispense pas d’une analyse d’impact lorsque les traitements sont susceptibles de présenter un risque élevé pour les personnes.
La gestion des droits des personnes concernées
Le RGPD confère aux individus un ensemble de droits sur leurs données personnelles : droit d’accès, droit à l’effacement, droit à la portabilité, droit d’opposition. Un CRM doit permettre techniquement à l’entreprise d’honorer ces demandes dans les délais réglementaires, soit un mois à compter de la réception de la demande. Salesforce comme Microsoft Dynamics intègrent des fonctionnalités natives pour gérer ces requêtes, mais leur mise en oeuvre opérationnelle dépend fortement de la façon dont le CRM a été paramétré et des workflows qui ont été configurés lors du déploiement. Une implémentation négligée peut rendre le respect de ces droits laborieux, voire impossible à honorer dans les délais légaux.
Sécurité des données et obligations de notification
Les mesures techniques et organisationnelles exigées par le RGPD
L’article 32 du RGPD impose au responsable de traitement et au sous-traitant de mettre en oeuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Pour un CRM qui centralise des milliers, voire des millions de données clients, les exigences sont particulièrement élevées. Chiffrement des données au repos et en transit, gestion des accès par rôles, authentification multifacteur, journalisation des accès : ces fonctionnalités doivent être non seulement disponibles mais activées par défaut ou configurées avec rigueur lors du déploiement.
Le bilan sécuritaire des deux plateformes
Microsoft, du fait de son investissement massif dans la cybersécurité à l’échelle mondiale, bénéficie d’une réputation solide sur ce terrain. Azure dispose de certifications ISO 27001, SOC 1 et SOC 2, et Microsoft publie des rapports de transparence réguliers. Salesforce affiche un niveau de certification équivalent et investit substantiellement dans ses programmes de sécurité, avec notamment une plateforme de gestion des incidents dédiée. Il serait erroné de considérer l’une comme objectivement plus sécurisée que l’autre : la différence se joue davantage dans la configuration que choisira l’entreprise et dans la maturité de son équipe technique ou de son intégrateur.
Notification des violations de données : qui fait quoi
En cas de violation de données personnelles, le RGPD impose une notification à l’autorité de contrôle dans un délai de 72 heures, ainsi qu’une information des personnes concernées si le risque pour leurs droits et libertés est élevé. L’éditeur du CRM a l’obligation contractuelle d’informer son client sans délai injustifié dès lors qu’il a connaissance d’un incident. Les deux éditeurs disposent de procédures formalisées à cet effet, mais la réactivité réelle et la qualité des informations transmises en situation de crise constituent un élément différenciant difficile à évaluer avant qu’un incident ne survienne. Il est conseillé d’intégrer ce scénario dans les exercices de gestion de crise de l’entreprise.
Gouvernance interne et pilotage de la conformité
Le rôle du DPO dans le choix et le suivi du CRM
Les entreprises soumises à l’obligation de désigner un délégué à la protection des données doivent impliquer ce dernier dès la phase de sélection du CRM. Le DPO n’est pas un simple validateur ex post : il doit contribuer à l’analyse des risques, à la rédaction des cahiers des charges et à l’évaluation des garanties offertes par chaque éditeur. Pour les entreprises qui ne disposent pas d’un DPO interne, le recours à un prestataire externe spécialisé permet de combler ce besoin sans alourdir la masse salariale. La sélection du CRM devient alors un exercice conjoint entre les directions commerciale, informatique et juridique.
La cartographie des traitements comme outil de pilotage
Quelle que soit la solution retenue, l’entreprise doit tenir un registre des activités de traitement à jour, conformément à l’article 30 du RGPD. Le déploiement d’un CRM génère nécessairement de nouvelles entrées dans ce registre : gestion de la relation client, prospection commerciale, gestion des contrats, suivi des préférences de communication. Chaque traitement doit être documenté avec sa base légale, ses finalités, ses catégories de données, ses destinataires et ses durées de conservation. Cette discipline documentaire, souvent perçue comme une contrainte administrative, est en réalité un levier de gouvernance qui permet à un conseil en accompagnement stratégique et juridique des dirigeants d’identifier rapidement les zones de risque lors d’un audit ou d’un contentieux.
Durées de conservation et politique de purge des données
L’un des points de non-conformité les plus fréquemment relevés par la CNIL concerne les durées de conservation des données. Conserver des données prospects ou clients au-delà de la durée nécessaire à la finalité du traitement constitue une infraction au principe de limitation de la conservation posé à l’article 5 du RGPD. Les deux CRM permettent de paramétrer des règles de purge automatique, mais ces règles doivent être définies en amont, validées juridiquement et vérifiées régulièrement. Cette vigilance est souvent négligée lors des phases de go-live, qui privilégient la fonctionnalité opérationnelle sur la conformité réglementaire.
Critères de décision pour les dirigeants et les décideurs
Évaluer le risque réglementaire propre à son secteur
Tous les secteurs n’exposent pas au même niveau de risque réglementaire. Les entreprises évoluant dans les secteurs de la santé, de la finance, des ressources humaines ou de l’éducation traitent des données sensibles ou soumises à des régimes sectoriels spécifiques qui viennent s’ajouter aux exigences générales du RGPD. Dans ces contextes, la robustesse juridique de l’architecture CRM retenue prend une importance décuplée. Une analyse de risque sectorielle préalable, conduite avec l’appui d’un juriste spécialisé, est indispensable avant toute décision d’investissement.
Intégration avec l’écosystème existant et risques induits
Un CRM ne fonctionne jamais de manière isolée. Il s’intègre avec des outils de marketing automation, des ERP, des plateformes d’emailing, des outils de support client. Chaque intégration constitue un nouveau flux de données susceptible de créer des obligations réglementaires supplémentaires, notamment si les outils connectés sont hébergés dans des pays tiers. Microsoft Dynamics 365 bénéficie d’une intégration native avec l’ensemble de l’écosystème Microsoft 365, ce qui peut simplifier la gouvernance des flux de données internes. Salesforce, via son AppExchange, offre une richesse d’intégrations mais qui nécessite une vigilance accrue sur chaque connecteur tiers déployé.
Le coût réel de la conformité dans le choix d’un CRM
La conformité réglementaire a un coût, mais ce coût est souvent sous-estimé dans les calculs de ROI qui accompagnent les projets CRM. Il faut intégrer dans ce calcul le temps passé à auditer les sous-traitants, à former les équipes, à maintenir la documentation réglementaire et à gérer les demandes des personnes concernées. Une plateforme qui semble moins onéreuse à l’achat peut se révéler plus coûteuse à opérer en conformité. À l’inverse, investir dans une solution bien documentée sur le plan contractuel et dotée d’outils natifs de conformité peut générer des économies substantielles sur la durée, notamment en réduisant le risque de sanctions administratives dont le montant peut atteindre 4 % du chiffre d’affaires annuel mondial de l’entreprise.
La décision entre Salesforce et Microsoft Dynamics ne peut se réduire à une comparaison de fonctionnalités commerciales. Elle engage la responsabilité du dirigeant sur des enjeux juridiques réels, évolutifs et potentiellement très coûteux en cas de manquement. Une approche rigoureuse, associant les équipes métiers, juridiques et techniques dès la phase d’analyse, est la seule voie permettant de faire un choix véritablement éclairé et sécurisé pour l’entreprise.
